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(57) Abstract: The invention relates to a method and a device for controlling operationa] processes, especially in a vehicle The 
invention also relates to a functional unit (3) for transmitting and receiving information via at least one connecting unit (4) having 
fulc«n„°r T^" '"""1°"^ ^ monitoring unit (8). The tnmsmission of infoLition frotn th! 

funcaonal umt (3) vm the at least one bus system (2) is stopped by the monitoring unit (8) when an enoris detected in the functional 
unit {3X According to the invention, in order to stop the transmission of information in a failure mode via the functional unit (8) in a 
siinple but nonetheless safe and reliable manner, an error signal (WDA) is emitted by the monitoring unit (8) which assumes various 
values according to whether an eiror of the fiinctional unit (3) is recognised or not and the eiror signal (WDA) is applied to the at 
iMst one connecting unit (4) and the at least one connecting unit (4) is deactivated by the applied error signal (WDA) when an error 
or ine tunction unit (3) is recognised. 

[Fortsetzung auf der ndchsten Seite] 
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— mit intemationalem Recherchenbericht 



Zur Erkldrung der Zweibuchstaben-Codes und der anderen Ab- 
kurzungen wird auf die Erkldrungen ("Guidance Notes on Co- 
des and Abbreviations") am Anfangjeder reguldren Ausgabe der 
PCT'Gazette verwiesen. 



(57) ZuMinnienfassung: Die Erfindung betrifift ein Verfahren und eine Vorrichtung zur Steuerung von Betriebsablaufen insbeson- 
^ k"T ^^^t"^' ^^^^^ ^'^^^ ^^"^ Funktionseinheit (3) zum Versenden und Empfangen von Informationen uber liiindestens 
eine Verbindungseinheit (4) mit mindestens einem Bussystem (2) in Verbindung. Die Funktionseinheit (3) winJ von einer Oberwa- 
chungseinheit (8) uberwacht. Das Versenden von Infomiationen von der Funktionseinheit (3) Uber das mindestens eine Bussystem 
(2) wird durch die Uberwachungseinheit (8) unterbunden, falls ein Fehler der Funktionseinheit (3) erkannt wird Um das Versenden 
von Informationen durch die Funktionseinheit (8) in einem Fehlerfall auf eine maglichst einfache Weise, aber dennoch sicher und 
zuverlassig zu unterbinden, wird vorgeschlagen, dass durch die Uberwachungseinheit (8) ein Fehlersignal (WDA) ausgegeben wiid 
das in Abhangigkeit davon unterschiedliche Werte annimmt, ob ein fehler der funktionseinheit (3) erkannt wuixie oder nicht und 
!, u I """l^"^^ ^^^^ ^" "^^^ mindestens einen Verbindungseinheit (4) angelegt und die mindestens eine Verbindungsei'nheit 
(4) durch das anhegende Fehlersignal (WDA) deaktiviert wird, falls ein Fehler der Funktionseinheit (3) erkannt wurde 
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10 Verfahren und Vorrichtung zur Steueruncr von 

Betriebsablauf en, insbesondere in einem Fahrzeug 

Die vorliegende Erfindung betrifft ein Verfahren zur 
15 Steuerung und/oder Regelung von BetriebsablMuf en, 
insbesondere in einem Fahrzeug. Dabei steht eine 
Funktionseinheit zum Versenden und Empfangen von 
Inf ormationen uber mindestens eine Verbindungseinheit mit 
mindestens einem Bussystem in Verbindung. Die 
20 Funktionseinheit wird von einer Oberwachungseinheit 
uberwacht, das Versenden von Inf ormationen von der 
Funktionseinheit uber das mindestens eine Bussystem wird 
durch die Oberwachungseinheit unterbunden, falls ein Fehler 
der Funktionseinheit erkannt wird. 

25 

Die Erfindung betrifft auBerdem eine Vorrichtung zur 
Steuerung und/oder Regelung von Betriebsablauf en, 
insbesondere in einem Fahrzeug. Die. Vorrichtung umfasst 
mindestens eine Funktionseinheit, welche zum Versenden und 

30 Empfangen von Inf ormationen Uber mindestens eine 

Verbindungseinheit mit mindestens einem Bussystem in 
Verbindung steht. AuBerdem umfasst die Vorrichtung 
mindestens eine Oberwachungseinheit, welche die 
Funktionseinheit uberwacht. Die Oberwachungseinheit 

35 unterbinder das Versenden von Inf ormationen von der 



i 
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Funktionseinheit aber das mindestens eine Bussystem, falls 
sie einen Fehler der Funktionseinheit erkennt. 

Schliefilich betrifft die vorliegende Erfindung auch ein 
Steuergerat zur Steuerung und/oder Regelung von 
Betriebsablaufen insbesondere in einem Fahrzeug. Das 
Steuergerat umfasst eine Funktionseinheit, welche zum 
Versenden und Empfangen von Inf ormationen Uber mindestens 
eine Varbindungseinheit mit mindestens einem Bussysterr: in 
Verbindung steht, und eine Oberwachungseinheit , welche die 
Funktionseinheit uberwacht . Die Oberwachungseinheit 
unterbindet das Versenden von Inf ormationen von. der 
Funktionseinheit aber das mindestens eine Bussystem, falls 
sie einen Fehler der Funktionseinheit erkennt. 



Stand der Technik 



Aus der DE 198 33 462 Al ist eine Schaltungsanordnung zur- 
Abkopplung einer elektronischen Einrichtung von einer 
Datenleitung in einem Kraft fahrzeug bekannt. Ober die 
Datenleitung tauschen die elektronische Einrichtung und 
mindestens ein weiteres elektrisches System wShrend des 
Betriebs der elektronischen Einrichtung Inf ormationen aus. 
Bei der Schaltungsanordnung, bei welcher trotz Ausfall 
einer an die Datenleitung angeschlossenen elektronischen 
Einrichtung der Fahrzeugbetrieb auf rechterhalten werden 
kann, ist die elektronische Einrichtung mit einer 
Fehlererkennungseinrichtung verbunden. Bei Feststellung ' 
eines Fehlers der elektronischen Einrichtung durch d^.-.- 
Fehlererkennungseinrichtung wird die elektronische 
Einrichtung durch die Schaltungsanordnung von der 
Datenleitung abgekoppelt, wobei die Betriebsfahigkeit des 
elektrischen Systems auf rechterhalten bleibt. 
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In der DE 198 33 462 Al geht es insbesondere um die 
Oberwachung der Datenleitung und um die Erkennung von 
Fehlern der Datenleitung, welche die Funktionsf ahigkeit der 
an die Datenleitung angeschlossenen elekt ronischen 
5 Einrichtung beeintrachtigen konnen. Zum Abkoppeln der 
elektronischen Einrichtung von der Datenleitung im 
Fehlerfall ist die Fehlererkennungseinrichtung in die 
Datenleitung geschaltet und umfasst elektrische 
Schaltelemente, um die Datenleitung im Fehlerfall 
10 auftrennen zu kSnnen. Das setzt jedoch voraus, dass in 

jeder Datenleitung, mit der die elektronische Einrichtung 
in Verbindung steht und die im Fehlerfall .aufgetrennt 
werden soil, Schaltelemente angeordnet sein mussen. . 

15 Aus der DE 100 30 996 Al ist ein Verfahren und eine 

Vorrichtung der eingangs genannten Art bekannt. Doru wind 
vorgeschlagen, dass die Funktionsuberwachung der 
Funktionseinheit durch die Oberwachungseinheit mittels 
eines Schaltelements durch die Funktionseinheit aktiviert 

20 bzw. deaktiviert werden kann . Das Schaltelement kann bspw. 
durch Setzen Oder Loschen eines Bits realisiert werdeii . Bel 
aktivierter Uberwachungsf unktion wird die Funktionseinheit 
von dem Bussystem durch Zugriff getrennt. Dazu steuert die 
Oberwachungseinheit ein weiteres Schaltelement an, durch 

2 5 das die Verbindung von der Funktionseinheit zu dem 

Bussystem unterbrochen wird. Als problemat isch erweist 
sich auch hier, dass ebenfalls gesonderte Schaltelemente in 
der Verbindung zwischen der Funktionseinheit und dem 
Bussystem vorgesehen sein mussen, um die Funktionseinheit 

30 im Fehlerfall von dem Bussystem abkoppeln zu konnen. 

Aus dem Stand der Technik sind zudem Oberwachungskonzepte 
fur Funktionseinheiten, insbesondere fur 
Kraf tf ahrsteuergerate, bekannt, bei denen die 
35 Oberwachungseinheit in einem Fehlerfall einen Reset 
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auslost. Infolge des Reset fahrt die Funktionseinheit 
erneut hoch und erreicht danach ihren BeLriebszustand . 
Falls der Fehler der Funktionseinheit nach wie vor besteht, 
erkennt die Oberwachungseinheit den Fehler erst in dem 
Betriebszustand erneut und lost erst dann wieder einen 
Reset der Funktionseinheit aus . Das Versenden von 
Informationen von der Funktionseinheit uber das Bussystern 
ist nur kurzzeitig wahrend des Reset-Zustandes unterbunden, 
da nur in diesem Zustand die Ein-/Ausgangs- 
Anschlusspositionen (sog. Ports) der Funktionseinheit 
inaktiv sind. Bei dem bekannten Verfahren kann eine 
fehlerbehaf tete Funktionseinheit alsp moglicherweise 
fehlerhaftete Informationen uber das Bussystem versenden, 
obwohl die Oberwachungseinheit einen Fehler der 
Funktionseinheit detektiert hat. Dadurch kann es zu 
sicherheitsrelevanten Situationen bei der Steuerung der 
Betriebsablaufe kommen . 

Der vorliegenden Erfindung liegt die Aufgabe zugrunde, das 
Versenden von Informationen von der Funktionseinheit uber 
das Bussystem sicher und zuverlassig und auf einfache Weise 
zu unterbinden. 

Zur Losung dieser Aufgabe schlagt die vorliegende Erfindung 
ausgehend von dem Verfahren der eingangs genannten Art vor, 
dass durch die Oberwachungseinheit ein Fehlersignal 
ausgegeben wird, das in Abhangigkeit davon unterschiedliche 
Werte annimmt, ob ein Fehler der Funktionseinheit erkannt 
wurde oder nicht, und dass das Fehlersignal an der 
mindestens einen Verbindungseinheit angelegt und die 
mindestens eine Verbindungseinheit durch das anliegende 
Fehlersignal deaktiviert wird, falls ein Fehler der 
Funktionseinheit erkannt wurde. 
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Vorteile der Erfindung 

Durch das erf indungsgemalie Verfahren wird bei einem 
erkannten Fehler der Funktionseinheit von der 
Oberwachungseinheit kein Reset ausgelost, sondern einfach 
eine Verbindungseinheit , die zwischen der Funkcionseinheir 
und dem Bussystem angeordnet ist, abgeschaltet . Die 
Verbindungseinheit ist bspw. als eine 
Signalverstarkungseinrichtung, insbesondere als eine 
Bustreiberschaltung des Bussystems (sog. Bus-Driver), 
ausgebildet. Die Bustreiberschaltung dient insbesondere zur 
Verstarkung eines von einer Bussteuerung (sog. Bus- 
Controller) erzeugten Bussignal, bevor es uber das 
Bussystem ubertragen wird, sowie zur ruckwirkungsf reien 
15 Signalanpassung. Erf indungsgemali bleibt also die 

Funktionseinheit an sich in einem betriebsf ahigen Zustand 
und kann nach wie vor Inf ormat ionen erzeugen. Diese 
Inf ormationen konnen jedoch nicht mehr uber das Bussystem 
ubertragen werden, da die fur das Versenden von 
20 Inf ormationen erf orderliche Verbindungseinheit deaktiviert 
wurde . 

Durch das erf indungsgemalie Verfahren wird eine 
Beeintrachtigung anderer Funktionseinheiten, die aber das 
25 Bussystem mit der f ehlerbehaf teten Funktionseinheit in 
Verbindung stehen, auf einfache Weise verhindert. Eine 
fehlerbehaftete Funktionseinheit kann im Fehlerfall somit 
keine potentiell falschen oder nicht gewunschten 
Inf ormationen uber das Bussystem versenden. Dadurch eryeben 
sich eigensichere Einzelsysteme in einem Net zwerkverbund . 



30 



Besonders vorteilhaft ist, dass das Versenden von 
Informationen durch die Funktionseinheit ohne den Einsatz 
zusatzlicher Schaltelemente zwischen der Funktionseinheit 
35 und dem Bussystem oder in dem Bussystem selbst sicher un.d 



wo 2004/021095 




PCT/DE2003/002310 



6 

zuverlassig unterbunden werden kann. Auflerdem ist mit der 
vorliegenden Erfindung das Versenden von Inf ormationen 
durch die Funktionseinheit dauerhaft unterbunden, was 
gegenuber einem Reset der Funktionseinheit den Vorteil hat, 
5 dass die fehlerhafte FunktionseinheiL zu keinem Ltrltpur.kL 
Inf ormationen mehr uber das Bussystem versenden kann. 
Sofern es die Fehler der Funktionseinheit zulassen, 
arbeitet diese noch ganz normal, d. h. sie erzeugt noch 
Inf ormationen zur Steuerung und/oder Regeiung der 

10 Betriebsablaufe, wobei diese Inf ormationen allerdings 

fehlerhaft sein konnen. Diese Inf ormationen konnen jedoch 
nicht uber das Bussystem ubertragen werden. Durch den 
weiteren Betrieb der Funktionseinheit ist es moglich, auch 
in einem Fehlerfall die Funktionseinheit weiterhin zu 

15 iiberwachen und das Versenden von Inf ormationen durch die 

Funktionseinheit unmittelbar wieder zu erlauben, sobald der 
Fehler der Funktionseinheit nicht mehr auftritt. 

Der Grund fur das notwendige Unterbinden des Versendens von 

20 Informationeh durch die Funktionseinheit im Fehlerfall 
liegt darin, dass eine f ehlerbehaf tete Funktionseinheit 
moglicherweise nicht mehr die Kontrolle aber sich selbst 
und iiber die korrekte Erzeugung von zu versendenden 
Inf ormationen hat und sich aufgrund des eigenen Fehlers 

25 auch nicht zuverlassig und sicher abschalten kann. Durch 

eine defekte Funktionseinheit in einem Net zwerkverbund, in 
dem mehrere Funkt ionseinheiten uber ein Bussystem 
miteinander in Verbindung stehen, besteht die Gefahr, dass 
die ubrigen empfangenden Funktionseinhei ten an dem 

30 Bussystem von der f ehlerbehaf teten sendenden 

Funktionseinheit fehlerhafte Inf ormationen erhalten und 
dadurch veranlasst ungewollte Aktionen ausftihren. Diese 
durch fehlerhafte Inf ormationen ausgelosten Aktionen konnen 
sich auch sicherheitsrelevant auf die zu steuernden 

35 Betriebsabiauf e auswirken. Am Beispiel von 
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Kraftf ahrzeugsteuergeraten kOnnte bspw. ein S-ceuergerat fUr 
die Brennkraf tmaschine im Fehlerfall ein 

Getriebesteuergerat dazu veranlassen, in niedrigere Gange 
herunterzuschalten, wodurch das Fahrzeug in einen 
5 instabilen Fahrzustand gelangen konnte. 

GemaB einer vorteilhaf ten Weit erbildung der vorliegenden 
Erfindung wird vorgeschlagen, dass das Fehlersignal an 
einen Ruckset zeingang der mindestens einen 
10 Verbindungseinheit angelegt wird. Der Rucksetzeingang wird 
auch als Reset-Eingang bezeichnet. In einem Fehlerfall kann 
die Verbindungseinheit durch das an dem Rucksetzeingang 
anliegende Fehlersignal deaktiviert werden. 

15 Gemafi einer bevorzugten Ausf uhrungsf orm der vorliegenden 

Erfindung wird vorgeschlagen, dass die Funktionseinheit mit 
mehreren Bussystemen in Verbindung steht und das 
Fehlersignal an Verbindungseinheiten mehrerer der 
Bussysteme angelegt wird. Der Vorteil der vorliegenden 

20 Erfindung, dass das Versenden von Inf ormationen durch eine 
fehlerbehaf tete Funktionseinheit ohne den Einsatz 
zusatzlicher Hardware, wie bspw. zusatzlicher 
Schaltelemente zum Unterbrechen der Verbindung zwischen 
fehlerbehaf teter Funktionseinheit und Bussystem, sicher und 

25 zuverlassig unterbunden werden kann, kommt insbesondere 

dann zum Tragen, wenn die fehlerbehaf tete Funktionseinheit 
nicht nur mit einem, sondern mit mehreren Bussystemen in 
Verbindung steht, uber die Inf ormationen an andere 
Funktionseinheiten versandt werden konnen.' Bei alien 

30 Bussystemen, die an die fehlerbehaf tete Funktionseinheit 

angeschlossen sind und die in einem Fehlerfall deaktivier:: 
werden sollen, ist das Fehlersignal der Oberwa chungseinhei L 
an die Verbindungseinheiten gefuhrt. Bussysteme, die nur 
zur Obertragung von Inf ormationen von nicht 

35 sicherheitsrelevanten Betriebsablauf en (z. B. von 
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Komfortfunktionen) dienen, miissen in einem Fehlerfall der 
Funktionseinheit nicht unbedingt abgeschaltet werden . 

Des weiteren wird vorgeschlagen, dass das Fehlersignal an 
Endstufen von Komponenten angelegt wird, deren 
Betriebsabiaufe von der f ehlerbehaf teten Funktionseinheit 
gesteuert bzw. geregelt werden. Diese Komponenten sind 
bspw. Endstufen von ZUndung, Einspritzung und/oder 
Drosselklappe einer Brennkraftmaschine . Ziel dieser 
MaBnahme ist es, die Brennkraftmaschine im Falle eines 
Fehlers der steuernden bzw. regelnden Funktionseinheit 
sicher zum Stillstand zu bringen. 

Als besonders vorteilhaft wird vorgeschlagen, dass nach dem 
Erkennen eines Fehlers der Funktionseinheit die 
Funktionseinheit von der (Jberwachungseinheit weiter 
iiberwacht wird und die mindestens eine Verbindungseinheit 
wieder aktiviert wird, falls eine ordnungsgemaJie Funktion 
der Funktionseinheit erkannt wurde. Diese erneute 
Aktivierung der Verbindungseinheiten ist bei der 
vorliegenden Erfindung jederzeit moglich. Beim Stand der 
Technik, wo in einem Fehlerfall ein Reset der 
fehlerbehafteten Funktionseinheit ausgefuhrt wird, kSnnte 
eine ordnungsgemaJie Funktion der Funktionseinheit lediglich 
im Anschluss an den Reset und das Hochfahren der 
Funktionseinheit erkannt werden. Mit der vorliegenden 
Erfindung kann somit nicht nur die Sicherheit eines 
Netzwerkverbundes, welcher mehrere Funktionseinheiten 
umfasst, die iiber ein Bussystera miteinander in Verbindung 
stehen, sondern auch die Verf ugbarkeit des 

Netzwerkverbundes verbessert werden, da die ordnungsgemaBe 
Funktion einer Funktionseinheit besonders schnell erkannt 
werden kann. 



Als eine weitere LOsung der Aufgabe der vorliegenden 
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Erfindung wird ausgehend von der Vorrichtung der aingangs 
genannten Art vorgeschlagen, dass die Oberwachungseinheit 
Mattel zum Bilden und Ausgeben eines Fehlersignals 
aufweist, das in Abhangigkeit davon unterschiedliche Werte 
annimmt, ob die Oberwachungseinheit einen Fehler der 
Funktionseinheit erkannt hat oder nicht, und dass das 
Fehlersignal an die mindestens eine Verbindungseinheit 
gefuhrt ist und die mindestens eine Verbindungseinheit 
durch das anliegende Fehlersignal deaktivierbar ist, falls 
ein Fehler der Funktionseinheit erkannt wurde. Die 
Vorrichtung entspricht bspw. einem Net zwerkverbund, der 
mehrere Funktionseinheiten umfasst, die uber ein Bussystem 
miteinander in Verbindung stehen. 

GemaB einer vorteilhaf ten Weiterbildung der vorliegenden 
Erfindung wird vorgeschlagen, dass das Fehlersignal an 
einen Enable/Disable-Eingang der mindestens einen 
Verbindungseinheit gefuhrt ist. Alternativ wird 
vorgeschlagen, dass das Fehlersignal an einen Reset-Eingang 
der mindestens einen Verbindungseinheit gefuhrt ist. 

Vorteilhafterweise umfasst die Vorrichtung mehrere 
Funktionseinheiten, die tlber ein Bussystem miteinander in 
Verbindung stehen, und mindestens eine Oberwachungseinheit, 
wobei die Oberwachungseinheit das Versenden von 
Informationen von einer Funktionseinheit iiber das 
mindestens eine Bussystem unterbindet, falls die 
Oberwachungseinheit einen Fehler dieser Funktionseinheit 
erkannt hat. Eine solche Vorrichtung entspricht dem in 
Kraftfahrzeugen in letzter Zeit zunehmend eingesetzten soq. 
Mehr-Steuergerate-Konzept, bei dem zur Steigerung der 
Rechenleistung mehrere Steuergerate parallel zueinander 
eingesetzt werden, wobei die einzelnen Steuergerat jeweils 
einen bestimmten Teil der Betriebsabiauf e steuert. So wird 
bspw. bei einem Zwei-Steuergerate-Konzept zur Steuerung 
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einer 8~zylindrigen Brennkraf tmaschine ein erstes 
Steuergerat zur Steuerung von vier der Zylinder und ein 
sweites Steuergerat zur Steuerung der iibrigen vier Zylinde 
eingesetzt. Die beiden Steuergerate stehen uber ein 
Bussystem miteinander in Verbindung. Inf ormationen uber de 
Betriebszustand' der Brennkraf tmaschine oder des 
Kraf tf ahrzeugs werden lediglich dem ersten Steuergerat 
zugefiihrt, welches die Inf ormationen dann uber das 
Bussystem an das zweite Steuergerat weiterleitet . Falls di 
Oberwachungseinheit des ersten Steuergerates einen Fehler 
des Steuergerates erkennt, deaktiviert diese die 
Verbindungseinheit des Bussystems zu dem zweiten 
Steuergerat, um zu verhindern, dass das erste Steuergerat 
fehlerhafte Inf ormationen an das zweite Steuergerat 
versendet und das zweite Steuergerat die ubrigen vier 
Zylinder der Brennkraf tmaschine falsch ansteuert und sich 
mbglicherweise sogar eine sicherheitsrelevante Situation 
ergeben konnte. 

Schlieftlich wird als noch eine weitere LcDSung der Aufgabe 
der vorliegenden Erfindung ausgehend von dem Steuergerat 
der eingangs genannten Art vorgeschlagen, dass die 
Oberwachungseinheit Mittel zum Bilden und Ausgeben eines 
Fehlersignals aufweist^ das in Abhangigkeit davon 
unterschiedliche Werte annimmt, ob die Oberwachungseinheit 
einen Fehler der Funkt ionseinheit erkannt hat oder niche, 
und dass das Fehlersignal an die mindestens eine 
Verbindungseinheit gefuhrt ist und die mindestens eine 
Verbindungseinheit durch das anliegende Fehlersignal 
deaktivierbar ist, falls ein Fehler der Funktionseinheit 
erkannt wurde. 
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Zeichnungen 

Weitere Merkmale, Anwendungsmoglichkei ten und Vorteile der 
Erfindung ergeben sich aus der nachf olgenden Beschreibung 
von Ausfuhrungsbeispielen der Erfindung, die in den 
Zeichnungen dargestellt sind. Dabei bilden alle 
beschriebenen Oder dargestellten Merkmale fur sich oder in 
beliebiger Kombination den Gegenstand der Erfindung, 
unabhangig von ihrer Zusammenf assung in den 

Patentanspruchen oder deren ROckbeziehung sowie unabhangig 
von ihrer Formulierung bzw. Darstellung in der Beschreibung 
bzw. in den Zeichnungen. Es zeigen: 

Figur 1 ein erf indungsgemafies SteuergerSt gemafi einer 
bevorzugten Ausf uhrungsf orm; 

Figur 2 eine erf indungsgemafie Vorrichtung umfassend zwei 
erf indungsgemafie Steuergerate, die iiber ein 
Bussystem miteinander in Verbindung stehen; und 

Figur 3 Verlaufe von verschiedenen Zustanden und 3i^Maid;, 
eines aus dera Stand der Technik bekannten 
Steuergerates (Figuren 3b bis 3d) im Vergleich zu 
dem erf indungsgemalien Steuergerat (Figuren 3e und 
3f ) . 

Beschreibung der Ausf uhrungsbeispiele 

In Fig. 1 ist ein erf indungsgema/ies Steuergerat SG in 
seiner Gesamtheit rait dem Bezugsseichen 1 bezeichnet. Das 
Steuergerat 1 dient bspw. zur Steuerung und/oder Regelung 
von Betriebsablaufen in einem Kraf tf ahrzeug . Machfolgend 
wird bspw. auf ein Steuergerat 1 zur Steueruri^ v.u 
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Betriebsablaufen in einer Brennkraftmaschine eines 
Kraftfahrzeuges nSher eingegangen. Die Erfindung ist jedoch 
generell anwendbar auf alle Arten von Steuergeraten SG, 
bspw. fur eine C-etriebesteuerung, eine Fahrdynami kregelung, 
eine Antr iebsschlupf regelung (ASR) , eine automatische 
Abstandsregelung (EDC; Electronic Distance Control), eine 
adaptive Fahrzeuggeschwindigkeitsregelung (ACC; Adaptive 
Cruise Control) etc., die uber ein Bussystem 2 zu einem 
Steuergerateverbund miteinander in Verbindung stehen and 
uber das Bussystem 2 untereinander Inf ormationen 
austauschen. Das Bussystem 2 ist bspw. als ein CAM 
(Controller Area Network) ausgebildet. 

Das Steuergerat 1 umfasst einen Funktionsrechner FR 3, der 
bspw. als ein Mikroprozessor oder als ein Mikrocontroller 
ausgebildet ist. Auf dem Funktionsrechner 3 ist ein 
Computerprogramm ablauffahig, das zur Erfullung der 
Steuerungs- und/oder Regelungsf unktion des Steuergerat es 1 
dient. Der Funktionsrechner 3 steht zum Versenden ' und 
Empfangen von Inf ormationen Uber eine Verbindungseinheit 4 
mit dem Bussystem 2 in Verbindung. Die Verbindungseinheit 4 
ist als eine Hardware-Schnittstelle zwischen einem 
Controller und einem externen SteuergerSteubertragungsbus 
mit Signalverstarkungseinrichtung, insbesondere als eine 
Bustreiberschaltung, z. B. als ein CAN-Treiber fiir ein CAN- 
Bussystem, ausgebildet. Der CAN-Treiber 4 wird auch als 
CAN-Driver bezeichnet . 

Die in dem Funktionsrechner ' 3 im Rahmen der .^barbeitung des 
Computerprogramms zur Erfullung der Steuerungs- und/oder 
Regelungsfunktion des Steuergerates 1 erzeugten 
Informationen werden uber einen Datenbus 5 zunachst an eine 
CAN-Steuerung 6 Ubertragen, die auch als CAN-Cont roller 
bezeichnet wird. In der CAN-Steuerung 6 werden die von dem 
Funktionsrechner 3 erzeugten Informationen in eine dem CAN- 
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Protokoll entsprechende Form gsbracht und fur die 
Obertragung uber das CAN-Bussystem 2 vorbereitet. Vor der 
Ubertragung der auf bereiteten Inf ormationen mussen die 
Signals noch an die elektrischen Eigenschaf ten auf dem CAN- 
5 Bus angepasst werden. Dazu werden die auf bereiteten 

Informationen uber eine zwei-Draht-Datenleitung 7 von der. 
CAN-Steuerung 6 an den CAN-Treiber 4 ubertragen, der die 
Signale auf das CAN-Bussystem 2 legt. 

10 Dem Funktionsrechner 3 ist eine unabhangige Hardware zur 
Funktionsiiberwachung des Funktionsrechners 3 zugeordnet . 
Die unabhangige Hardware wird als Oberwachungsmodul t)M 8 
bezeichnet. Das Oberwachungsmodul 8 stellt dem 
Funktionsrechner 3 zyklisch verschiedene Fragen, die in dem 

15 Funktionsrechner 3 umfangreiche Kontrollmechanismen, wie 
bspw. Programmablauf kontrollen oder Bef ehlstests, 
durchlaufen und ein Ergebnis bilden. Das Ergebnis wird als 
Antwort auf die Frage dem Oberwachungsmodul 8 zuruck 
ubertragen. Ein fehlerfrei arbeitender Funktionsrechner 3 

20 liefert die richtige Antwort innerhalb eines vorgebbaren 
Zeitfensters zuruck. Das Oberwachungsmodul 8 stellt durch 
Auswerten der Antwort fest, ob ein Fehler des 
Funktionsrechners 3 vorliegt oder nicht. Das beschriebene 
Oberwachungskonzept des Funktionsrechners 3 durch das 

25 Oberwachungsmodul 8 wird auch als Frage-Antwort- 

Kommunikation bezeichnet. Die Kommunikation zwischen dem 
Oberwachungsmodul 8 und dem Funktionsrechner 2 erfolgt uber 
eine SPI (Serial Parallel Interface) -Schnittstelle 9. 

30 Durch Auswerten der Antwort des Funktionsrechners 3 wird in 
dem Oberwachungsmodul 8 ein Fehlersignal WDA generiert, das 
in Abhangigkeit davon unterschiedliche Werte annimmt, ob 
ein Fehler des Funktionsrechners 3 erkannt wurde oder 
nicht. Vorzugsweise wird ein Fehlerzahler inkrement ier t , 

35 falls ein Fehler des Funktionsrechners 3 erkannt wurde. 
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Erst wenn der Fehlerzahler einen Schwellenwert 
uberschritten hat, wird das Fehlsrsignal WDA ausgegeben. 
Das Fehlersignal WDA wird uber eine Signalleitung 10 an 
Endstufen El bis EN von Kraft fahrzeugkomponenten Kl bis Pin, 
5 die von dem Steuergerat 1 2ur Steuerung und/oder Regelung 
der Betriebsablaufe angesteuert warden, angelegt. Dies sind 
bspw. bei einem Kraft fahrzeugsteuergerat 1 zur Steuerung 
und/oder Regelung einer Brennkraf tmaschine die Endstufen 
fur Zundung, Einsprit-ung und/oder Drossel klappe . Die 
10 Ansteuerung der Endstufen El bis En mit dem Fehlersignal 

WDA dient dazu, im Fehlerfall die Brennkraf tmaschine sicher 
zum Stillstand zu bringen und sicherhei tsrelevanLe 
Situationen zu vermeiden. 



15 Erf indungsgemaJi wird das Fehlersignal WDA auBerdem an einen 
Reset-Eingang RST des CAN-Treibers 4 angelegt. Der CAN- 
Treiber 4 wird durch das anliegende Fehlersignal WDA 
deaktiviert, falls ein Fehler des Funktionsrechners 3 
erkannt wurde. Dadurch wird das Versenden von Inf ormat ionen 

20 durch einen defekten Funktionsrechner 3 uber das CAN- 

Bussystem 2 zuverlassig, wirksam und vor allem dauerhaft 
fur die gesamte Dauer des Fehlers des Funktionsrechners 3 
unterbunden. Dadurch wird auch das Versenden moglicherweise 
fehlerhafter Inf ormationen durch den f ehlerbehaf teten 

25 Funktionsrechner 3 uber das CAN-Bussystem 2 an andere 
Funktionsrechner auf einfache Weise verhindert. Das 
erf indungsgemalie Steuergerat 1 stellt somit ein 
eigensicheres Eigensystem in einem Steuergerateverbund dar. 
Es erfullt die Vorschriften an Steuergerate in einem 

30 Steuergeratverbund, dass namlich jedes Steuergerat 1 die 
Verantwortung fur die von ihm versendeten Inf ormationen 
selbst tragt. 



35 



Ein weiterer Vorteil der vorliegenden Eriindung besteht 
darin, dass ein f ehlerbehaf teter Funktionsrechner 3 
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weiterhin normal arbeitet und weiterhin - zwar 
moglicherweise fehlerhafte - Inf ormationen zur Steuerung 
der Betriebsablaufe ermittelt . Das Oberwachungsmodul 8 kann 
somit auch nach dem Erkennen eines Fehlers des 
5 Funktionsrechners 3 die Funktionsf ahigkeit des 

Funktionsrechners 3 weiterhin iiberwachen. Solange das 
Oberwachungsmodul 8 einen Fehler des Funktionsrechners 3 
erkennt, bleibt der CAN-Treiber 4 deaktiviert, damit die 
von dem fehlerhaften Funktionsrechner 3 ermittelten 
10 fehlerhaften Inf ormationen nicht auf das CAN-Bussystem 2 
gelangen und andere Funktionsrechner des 

Steuergerateverbundes beeintrSchtigen konnen. Sobald das 
Oberwachungsmodul 8 jedoch eine ordnungsgemSfie Funktion des 
Funktionsrechners 2 erkennt, kann der CAN-Treiber 4' wieder 
15 aktiviert werden, so dass das SteuergerSt 1 wieder ganz 
normal arbeiten kann. Vorteilhaft bei der vorliegenden 
Erfindung ist es, dass eine ordnungsgemafte Funktion des 
Funktionsrechners 3 ohne lange Zeitverzogerung erkannt 
werden kann. 

20 

Noch ein Vorteil der Erfindung ist darin zu sehen, dass das 
Versenden von Inf ormationen durch einen f ehlerbehaf tet en 
Funktionsrechner 3 auf einfache Weise und ohne zusatzliche 
Hardware, bspw. ohne zusatzliche Schaltelemente, die in das 
25 CAN-Bussystem 2 eingebracht werden und im Fehler fall 

geoffnet werden, um den Funktionsrechner 3 von dem CAN- 
Bussystem 2 zu trennen, unterbunden werden kann. 



30 



In Fig. 2 ist ein Mehr-SteuergerSte-Konzept , genauer geaajL 
ein Zwei-Steuergerate-Konzept, dargestellt, bei dem zwei 
Steuergerate SGI, SG2 zur Steuerung bestimmter 
Betriebsablaufe eingesetzt werden. In dem dargestellten 
Ausfuhrungsbeispiel sind die zwei Steuergerate SGI, SG2 zur 
Steuerung der Betriebsablaufe in einer 12-zylindrigen 
35 Brennkraf tmaschine BM 11 eingesetzt. Dabei steuert das 
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ersze Steuergerar SGI die ersten sechs Zylinder ZiL 12 und 
das zweite Steuerger^t SG2 die ubrigen sechs Zvlir.der ZYL 
13. Das erste Steuergerat SGI erhalt Inf ormationen S uber 
den Fahrerwunsch (Stellung des Gaspedals) und/oder uber den 
5 Betriebszustand der Brennkraf tmaschine 11 und des 

Kraf tf ahrzeugs von entsprechenden Sensoren. Die beiden 
SteuergerSte SGI und SG2 sind uber ein CAN-Bussystem 2 
miteinander verbunden. Das zweite Steuergerat SG2 erhalt 
aber das CAN-Bussystem 2 Sollwertvorgaben (z.B. den 

10 Fahrerwunsch) von dem ersten Steuergerat SGI. Um zu 

verhindern;. dass bei einem Fehler des Funktionsrechners FRl 
des ersten Steuergerates SGI fehlerhafte Sollwertvorgaben 
an das zweite Steuergerat SG2 ubermittelt werden, wird 
erfindungsgemali das Versenden von Inf ormationen durch den 

15 Funktionsrechner FRl iiber das CAN-Bussystem 2 durch die 
Oberwachungseinheit OmI unterbunden. Dazu wird das 
Fehlersignal WDA des Oberwachungsmoduls OMl an einen Reset^ 
Eingang RST des CAN^Treibers 4 angelegt . 

20 Anhand der ausbleibenden Datenubertragung 

(Machrichtenunterbrechung bzw. fehlende Aktualisierung) 
kann das Steuergerat SG2 einen Defekt im SGI erkennen und 
entsprechende Ersatzmalinahmen oder Fehlerreaktionen im SG2 
aktivieren. 

25 

In den Figuren 3a bis 3f sind die Verlaufe verschiedener 
Steuergeratezustande und Steuergerategropjen uber die Z^it l 
dargestellt, Insbesondere ist in Fig, 3a der Stand eines 
Fehlerzahlers des Oberwachungsmoduls 8 dargestellt. Dieser 

30 steigt am Anfang von Null bis uber einen Schwel lenwert 
an. Sobald der Fehlerzahler den Schwellenwert SW 
ubersteigt, wird zum Zeitpunkc tj eine Fehlerrea kn 
ausgelost. Das bedeutet, dass das Fehlersignal WDA einen 
entsprechenden Wert annimmt . Als Werte des Fehlersignals 

35 WDA kommen insbesondere HIGH oder LOW in Frage. 
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Die in den Figuren 3b, 3c und 3d dargestell ten Verlaufe 
entsprechen dem Stand der Technik. In Fig. 3b isz der 
Verlauf eines Reset-Signals dargestellt, welches nach dem 
5 Stand der Technik von dem Oberwachungsmodul OM 8 an einen 
Reset-Eingang des Funktionsrechners FR 3 angelegt wird. Zun 
Zeitpunkt ti wird die Fehlerreaktion ausgelost, die beim 
Stand der Technik darin besteht, einen Reset des 
Funktionsrechners FR 3 auszulosen. In Fig. 3c ist der 

10 Verlauf einer GroBe "CAN~Signal f reigegeben" daxgesLellL. 
Das Signal hat die Werte ,,frei'^ oder ,,gesperrt^\ Fig. 3c 
kann entnommen werden, dass das CAN-Signal nur wahrend der 
Dauer des Reset (RST = 1 in Fig. 3b) gesperrt ist und 
ansonsten frei ist. Solange das CAN-Signal freigegeben ist, 

15 kann selbst ein f ehlerbehaf teter Funkt ionsrechner FP ? 
mGglicherweise fehlerhafte Inf ormationen iiber das CAN- 
Bussystem 2 ubertragen. Dies kann unter Umst^nden 
fehlerhafte Reaktionen anderer Funktionsrechner FR des 
Steuergerateverbundes auslosen . 

20 

In Fig. 3d sind verschiedene Zustande des aus dem Stand der 
Technik bekannten Steuergerats SG dargestellt. Vor dem 
Auslosen der Fehlerreaktion zum Zeitpunkt ti durchlauft das 
Steuergerat SG ein ganz normales Fahrprogramm A. Danach 

25 schlieBt sich nach dem Zeitpunkt ti ein Reset-Zustand B an. 
Im Anschluss daran durchlauft das Steuergerat SG eine 
Initialisierungsphase C und wechselt danach wiederum in das 
normale Fahrprogramm A. Wahrend des Fahrprogramms A fuhrt 
das Oberwachungsmodul U^5 eine Frage-Antwort-Kommunikat ion 

30 mit dem zu uberwachenden Funktionsrechner FR durch und 
erkennt an einem Zeitpunkt t:*, dass der Fehler des 
Funktionsrechners FR immer noch vorliegt. Danach warden 
wiederum die vorbeschriebenen Zustande Reset B, ' 
Initialisierung C und Fahrprogramm A mit Frage-Antwor t- 

35 Koramunikation D durchlaufen. 
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In den Figuren 3e und 3f sind die Signal- und 
Zustandsverlauf e des erf indungsgemafien Steuergerats 1 
dargestellt. Anhand der Fig. 3e ist deutlich zu erkennen, 
5 dass das CAN-Signal unmittelbar nach der Fehlerreakt ion zum 
Zeitpunkt ti fur die Dauer des Fehlers gesperrt ist. D^^r 
Funktionsrechner 3 befindet sich nach der Fehlerreakt ion in 
einem ganz ncrmalen Fahrprogramm A, wahrenddessen eine 
Frage-Antwort-Kommunikation D zyklisch ausgefuhrt wird und 

10 die Endstufen uber das WDA-Signal sich im deakt i vierten 
Zustand befinden (E) . Allerdings werden die von dem 
Funktionsrechner 3 ermittelten Inf ormationen nicht uber das 
CAN -Bus system 2 ubertragen, da der CAN-Treiber 4 
deaktiviert ist und das CAN-Signal somit gesperrt ist. Bei 

15 der vorliegenden Erfindung befindet sich der 

Funktionsrechner 3 im Fehlerfall niemals in einer Situation 
in der nicht die Funktionsf ahigkeit des Funktionsrechners 3 
durch eine Frage-Antwort-Kommunikation iiberpriift werden 
konnte. Dagegen kann beim Stand der Technik im Fehlerfall 

20 eine Oberprufung der Funktionsf Ahigkeit des 

Funktionsrechners 3 nicht wahrend der Zustande Reset B und 
Initialisierung C erfolgen. Dadurch kann die ordnungsgemalie 
Funktion des Funktionsrechners 3 bei der vorliegenden 
Erfindung f ruber als beim Stand der Technik erkannt werden. 



25 
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Anspriiche 

1. Verfahren zur Steuerung und/oder Regelung von 
Betriebsablaufen, insbesondere in einem Fahrzeug, wobei 
sine Funktionseinheit (3) zum ' Versenden und Empfangen von 
Informationen ilber inindestens eine Verbindungseinheit (4) 
mit mindestens einem Bussystem (2) in Verbindung steht, die 
Funktionseinheit (3) von einer Oberwachungseinheit (8) 
aberwacht wird und das Versenden von Informationen von der 
Funktionseinheit (3) Ober das mindestens eine Bussystem (2) 
durch die Oberwachungseinheit (8) unterbunden wird, falls 
ein Fehler der Funktionseinheit (3) erkannt wird, daduxch 
gekennzeichnet, dass durch die Oberwachungseinheit (8) ein 
Fehlersignal (WDA) ausgegeben wird, das in Abhangigkeit 
da von unterschiedliche Werte annimmt, ob ein Fehler der 
Funktionseinheit (3) erkannt wurde oder nicht, und dass das 
Fehlersignal (WDA) an der mindestens einen 
Verbindungseinheit (4) angelegt und die mindestens eine 
Verbindungseinheit (4) durch das anliegende Fehlersignal 
(WDA) deaktiviert wird, falls ein Fehler der 
Funktionseinheit (3) erkannt wurde. 

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, 
dass das Fehlersignal (WDA) an einen RQcksetzeingang (RST) 
der mindestens einen Verbindungseinheit (4) angelegt wird. 
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3. Vsrfahren nach Anspruch 1 oder 2, dadurch 
gekennzeichnet , dass die Funktionseinheit (3) mit mehreren 
Bussystemen (2) in Verbindung steht und das Fehlersignal 
(WDA) an Verbindungseinhei ten (4) mehrerer der Bussysteme 

5 (2) angelegt wird. 

4. Verfahren nach einem der Anspruche 1 bis 3, dadurch 
gekennzeichnet, dass das Fehlersignal (WDA) an Endstufen 
(El, ... En) von Komponenten (Kl, ... Kn) angelegt wird, 
deren Betriebsablauf e gesteuert bzw. geregelt werden . 

5. Verfahren nach einem der Anspruche 1 bis 4, dadurch 
gekennzeichnet , dass nach dem Erkennen eines Fehlers der 
Funktionseinheit (3) die Funktionseinheit (3) von der 
Oberwachungseinheit (8) weiter uberwacht wird und die 
mindestens eine Verbindungseinheit (4) wieder aktiviert 
wird, falls eine ordnungsgemalie Funktion der 
Funktionseinheit (3) erkannt wurde. Verfahren nach einem 
der Anspruche 1 bis 4, dadurch gekennzeichnet , dass nach 
dem Erkennen eines Fehlers der Funktionseinheit (3) die 
Funktionseinheit (3) nicht zuruckgeset zt wird, weiteihin 
aktiv ein Computerprogramm abarbeitet, und der Sende- und 
Empf angsbetrieb von der Oberwachungseinheit (8) durch 
Aktivierung bzw. Deaktivierung der Verbindungseinheit (4) 
gesteuert wird. 

6. Vorrichtung zur Steuerung und/dder Regelung von 

25 Betriensablauf en, insbesondere in einem Fahrzeug, umfassend 
mindestens eine Funktionseinheit (3), welche zum Versenden 
und Empfangen von Ihf ormationen uber mindestens eine 
Verbindungseinheit (4) mit mindestens einem Bussystem [2} 
in Verbindung steht, und mindestens eine 

30 Oberwachungseinheit (8), welche die Funktionseinheit (2) 

Uberwacht, wobei die Oberwachungseinheit (8) das Versenden 
von Inf ormationen von der Funktionseinheit (3) iiber das 
mindestens eine Bussystem (2) unterbindet, falls sie einen 



10 
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Fehler der Funktionseinheit (3) erkennt, dadurch 
gekennzeichnet, dass die Oberwachungseinheit (8) Mittel zum 
Bilden und Ausgeben eines Fehlersignals (WDA) aufweist, das 
in Abhangigkeit davon unter schiedliche Werte annimmt, ob 
5 die Oberwachungseinheit (8) einen Fehler der 

Funktionseinheit (3) erkannt hat Oder nicht, und dass das 
Fehlersignal (WDA) an die mindestens eine 

Verbindungseinheit (4) gefiihrt ist und die mindestens eine 
Verbindungseinheit (4) durch das anliegende Fehlersignal 
10 (WDA) deaktivierbar ist, falls. ein Fehler der 
Funktionseinheit (3) erkannt wurde. 

7. Vorrichtung na'ch Anspruch 5, dadurch gekennzeichnet , 
dass das Fehlersignal (WDA) an einen Enable/Disable-Eingang 
der mindestens einen Verbindungseinheit (4) gefuhrt ist. 

15 8. Vorrichtung nach Anspruch 5, dadurch gekennzeichnet , 
dass das Fehlersignal (WDA) an einen Riickset zeingang (RST) 
der mindestens einen Verbindungseinheit (4) gefuhrt ist. 

9. Vorrichtung nach einem der Anspruche 5 bis 1, dadurch 
gekennzeichnet , dass die Vorrichtung mehrere 

20 Funktionseinheiten (3), die uber ein Bussystem (2; 

miteinander in Verbindung stehen, und mindestens eine 
Oberwachungseinheit (8) umfasst, wobei die 
Oberwachungseinheit (8) das Versenden von Inf orma tionen 
einer Funktionseinheit (3; FRl) uber das mindestens eine 

25 Bussystem (2) unterbindet, falls die Oberwachungseinheit 
(8) einen Fehler dieser Funktionseinheit (3; FRl) erkannt 
hat. 

10. Steuergerat (1) zur Steuerung und/oder Regelung von 
Betriebsabiauf en insbesondere in einem Fahrzeug, umfassend 

30 eine Funktionseinheit (3), welche zum Versendeji und 
Empfangen von Inf ormationen iiber mindestens eine 
Verbindungseinheit (4) mit mindestens einem Bussystem (2) 
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in Verbindung steht, und eine Oberwachungseinheit (8), 
welche die Funktionseinheic (3) uberwacht, wobei die 
Oberwachungseinheit (8) das Versenden von Inf orma tionen vcr. 
der Funktionseinheit (3) uber das mindestens eine Bussyscem 
5 (2) unterbindet, falls sie einen Fehler der 

Funktionseinheit (3) erkennt, dadurch gekennzeichnet, dass 
die Oberwachungseinheit (8) Mittel zum Bilden und Ausgeben 
eines Fehlersignals (WDA) aufweist, das in Abhangigkeit 
davon unterschiedliche Werte annimmt, ob die 

10 Oberwachungseinheit (8) einen Fehler der Funktionseinheit 

(3) erkannt hat oder nicht, und dass das Fehlersignal (WDA) 
an die mindestens eine Verbindungseinheit (4) gefuhrt ist 
und die mindestens eine Verbindungseinheit (4) durch das 
anliegende Fehlersignal (WDA) deaktivierbar ist, falls ein 

15 Fehler der Funktionseinheit (3) erkannt wurde. 

11. Steuergerat (SG) nach Anspruch 9, dadurch 
gekennzeichnet, dass das Fehlersignal (WDA) an einen 
Riicksetzeingang (RST) der mindestens einen 
Verbindungseinheit (4) gefuhrt ist. 



20 
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